ShinyHunters napada Penn Canvas, više od 300.000 korisnika u opasnosti
Kibernetička kriminalna skupina ShinyHunters prisilila je obrazovni portal Canvas Sveučilišta u Pennsylvaniji da prekine rad, nakon što je tvrdila da je ukrala podatke koji pripadaju više od 300.000 suradnika Penna. Skupina je postavila rok za pregovore o otkupnini do 12. svibnja, prijeteći javnim objavljivanjem ukradenih datoteka ako se sveučilište ne pokori. Incident je dio šireg proboja sustava tvrtke Instructure, koja posjeduje i upravlja platformom Canvas, a koriste je sveučilišta i škole diljem zemlje.
Kompromitrani podaci navodno uključuju evidencije upisa na kolegije i interne poruke — vrstu osjetljivih institucionalnih informacija koje studenti, nastavno osoblje i zaposlenici nikad ne očekuju vidjeti u rukama kriminalaca. Za populaciju koja svakodnevno koristi svoje sveučilišne račune, ovaj proboj predstavlja i logističku smetnju i ozbiljan problem privatnosti.
Što je ShinyHunters i zašto je ovo važno
ShinyHunters nije nepoznato ime u krugovima kibernetičke sigurnosti. Skupina je povezana s nizom visokoprofilnih krađa podataka tijekom proteklih nekoliko godina, ciljajući organizacije u kojima su velike količine osobnih podataka pohranjene na centraliziranim platformama. Obrazovne ustanove gotovo savršeno odgovaraju tom profilu: prikupljaju imena, adrese e-pošte, podatke o upisu, financijske informacije, akademske evidencije i privatne komunikacije — sve pohranjeno u sustavima koji su često nedovoljno opremljeni kada je riječ o sigurnosti.
U ovom slučaju, čini se da je vektor napada potekao iz Instructurea, dobavljača uzvodno u lancu, a ne iz vlastite infrastrukture Penna. Ta razlika je važna. Čak i ako sveučilište ima solidne interne sigurnosne prakse, ono je zaštićeno samo onoliko koliko su zaštićene platforme trećih strana o kojima ovisi. Ovo je strukturalna ranjivost koja pogađa praktički svaku instituciju koja koristi sustav za upravljanje učenjem temeljen na oblaku.
Rok za otkupninu od 12. svibnja dodaje hitnost već ionako uznemirujućoj situaciji. Studenti i nastavno osoblje izgubili su pristup nastavnim materijalima, zadaćama i komunikacijama u kritičnom trenutku akademskog kalendara — podsjetnik da napadi ransomwareom imaju stvarne posljedice koje nadilaze ukradene podatke.
Zašto su sveučilišta unosne mete
Visokoškolske institucije postale su omiljeno lovište za ransomware skupine i posrednike u podacima. Nekoliko čimbenika čini ih privlačnim metama.
Kao prvo, sveučilišta čuvaju ogromne količine osobno prepoznatljivih informacija o desetinama tisuća osoba, što često uključuje i maloljetnike u programima dvojnog upisa. Kao drugo, akademski kalendari stvaraju predvidljive prozore visokog pritiska — poput ispitnih rokova — kada poremećaj sustava nanosi maksimalnu štetu i povećava vjerojatnost brzog plaćanja. Kao treće, IT proračuni većine sveučilišta raspoređeni su na konkurentske prioritete, što znači da sigurnosna infrastruktura može zaostajati za sofisticiranošću modernih aktera prijetnji.
Proboj na Pennu slijedi obrazac viđen na desetinama institucija u posljednjih nekoliko godina. Kada je ugrožen jedan dobavljač poput Instructurea, radijus eksplozije proteže se na sve klijentske institucije, čineći ekonomiku napada visoko učinkovitom za napadača.
Što to znači za vas
Ako ste student, nastavnik ili zaposlenik Penna ili bilo koje druge institucije koja koristi Canvas, ovaj proboj je izravan signal za pregled vaše digitalne higijene vezane uz institucijske račune.
Počnite s lozinkom. Sveučilišni podaci za prijavu često se ponovo koriste na osobnoj e-pošti, društvenim mrežama i drugim uslugama. Ako se vaša Penn lozinka za prijavu podudara s bilo čime drugim što koristite, promijenite je sada na svim platformama. Omogućite višefaktorsku autentifikaciju na svakom računu koji je podržava, s prioritetom na e-poštu i sve račune povezane s financijskim ili akademskim evidencijama.
Budite oprezni u pogledu pokušaja krađe identiteta (phishinga) u nadolazećim tjednima. Napadači koji su pribavili podatke o upisu i interne poruke mogu sastaviti iznimno uvjerljive e-poruke koje izgledaju kao da dolaze od sveučilišne uprave ili profesora. Ako primite neočekivanu poruku koja vas traži da kliknete na poveznicu ili navedete podatke za prijavu, provjerite je putem službenih kanala prije nego poduzmete ikakvu radnju.
Vrijedi razmisliti i o širem načelu minimizacije podataka. Što više osobnih podataka pohranjujete na jednoj platformi, to je veća izloženost kada ta platforma bude ugrožena. Gdje je moguće, izbjegavajte pohranjivanje osjetljivih osobnih podataka u institucijskim sustavima izvan onoga što je potrebno.
Za korisnike koji pristupaju sveučilišnim sustavima s dijeljenih mreža, poput kampus Wi-Fija ili javnih žarišnih točaka, korištenje renomiranog VPN-a može smanjiti rizik od presretanja podataka za prijavu tijekom prijenosa. Iako VPN ne bi spriječio proboj Instructurea, zaštita vaše veze je zdrava osnovna navika za svakoga tko redovito rukuje osjetljivim prijavama.
Ključne spoznaje
Napad ShinyHuntersa na Penn-ov Canvas sustav podsjetnik je da nijedna institucija nije prevelika ni previše misijski usmjerena da bi bila meta. Proboj dobavljača uzvodno u lancu poput Instructurea pokazuje da pojedine institucije mogu postati žrtve čak i bez izravnog napada na vlastite sustave.
Za više od 300.000 osoba čiji su podaci možda bili izloženi, neposredni koraci su jasni: promijenite lozinke, omogućite višefaktorsku autentifikaciju i budite oprezni u pogledu phishinga. Za sveučilišne administratore i IT timove, incident jača argument za rigorozne procjene sigurnosti dobavljača i ugovorne zahtjeve za minimizacijom podataka.
Rok od 12. svibnja doći će i proći, ali temeljni podaci, jednom ukradeni, ne nestaju. Bez obzira pregovara li Penn ili odbija, pogođeni korisnici trebali bi poslovati pod pretpostavkom da su njihove informacije u optjecaju i poduzeti zaštitne mjere u skladu s tim.
